CVE-2026-52680
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Apache Kyuubi w wersjach od 1.7.0 do 1.11.1 jest podatny na atak typu path traversal podczas obsługi wieloczęściowego przesyłania plików REST batch. Atakujący może podać sekwencje path traversal w nazwie pliku, co pozwala na zapis treści poza zamierzonym katalogiem.
Ocena ryzyka
Zdalny atakujący może zapisać kontrolowaną treść w dowolnym miejscu systemu plików, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Apache Kyuubi do wersji 1.12.0, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Apache Kyuubi REST batch multipart upload handling uses the client-supplied multipart filename when creating a temporary uploaded resource. A remote attacker who can access the REST batch upload endpoint can provide path traversal sequences in the filename and cause the Kyuubi server process to write controlled content outside the intended upload directory, subject to filesystem permissions. This issue affects Apache Kyuubi: from 1.7.0 through 1.11.1. Users are recommended to upgrade to version 1.12.0, which fixes the issue.